面向SaaS团队
核实客户数据之间的边界。
我们会在约定范围内检查用户能否访问其他租户的数据，或执行超出权限的操作。测试可覆盖用户角色、邀请与账号恢复、API对象访问，以及产品中的关键流程。
初次沟通时，请说明产品、测试环境、用户角色和期望时间。测试账号、排除项、数据处理方式和复测安排都会在开工前确定。请勿通过销售表单发送凭据或漏洞细节。
服务内容
测试对象由双方商定。
根据对外暴露情况、技术、时间和运行限制确定范围。
Web应用与API
检查身份验证、权限、输入处理和业务逻辑。
移动应用
检查应用、通信及后端的重要路径。
云与网络
检查配置、权限、公开面和可能的进一步访问路径。
AI功能
检查模型能力与产品功能结合后的滥用方式。
联网产品
检查设备、固件、应用和云服务之间的边界。
修复复测
按约定范围验证修复后的问题。
工作方式
开始前先定好规则。
确定获授权的目标、方式、联系人和紧急处理方法后才开始。
确定范围
商定目标、访问方式、时间和禁止事项。
开展测试
提出攻击假设，在安全边界内逐一验证。
说明发现
确认可复现性和影响，尽早通报重要问题。
提交报告
交付证据、修复建议和约定的复测结果。
交付内容
报告会写清楚什么。
对每个确认的问题，说明前提条件、复现步骤、影响和修复方向。无法证实的假设不会被写成已确认漏洞。
测试对象和是否包含复测会在签约前确定。发现严重问题时，我们会在最终报告前及时联系您。
适合咨询的情况
这些情况适合找我们谈。
准备发布
新功能或重大变更上线前需要外部视角。
客户提出要求
需要提供第三方测试结果和修复进展。
自动检测不够
希望人员检查身份验证、权限或业务逻辑。
常见问题
测试前的常见问题。
目标还没完全确定，也可以先联系我们。
只是自动扫描吗？
不是。我们会使用适当工具，但攻击路径、复现和影响由测试人员判断。
能在生产环境测试吗？
取决于目标和限制。我们会提前约定安全规则与联系渠道。
包含修复后的复测吗？
是否包含会在签约前写明。复测针对约定问题检查修复情况。
费用和周期如何确定？
了解目标数量、复杂程度、访问方式和交付要求后再报价。
服务哪些地区？
我们服务全球客户，包括丹佛和科罗拉多州的团队。开工前会确认访问方式、时间安排和沟通渠道。
告诉我们您想测试什么。
我们会了解目标和期限，提出可安全实施的测试范围。